Το Penetration Testing είναι μια εξουσιοδοτημένη προσομοιωμένη επίθεση στον κυβερνοχώρο σε έναν υπολογιστή, με σκοπό την αξιολόγηση της ασφάλειας ενός συστήματος. Οι δοκιμές εκτελούνται για τον εντοπισμό όλων των αδυναμιών (γνωστές και ως τρωτά σημεία), συμπεριλαμβανομένης της πιθανότητας πρόσβασης μη εξουσιοδοτημένων μερών σε λειτουργίες και δεδομένα συστήματος, καθώς και δυνατά σημεία που επιτρέπουν σε μη εξουσιοδοτημένα μέρη να έχουν πρόσβαση σε χαρακτηριστικά και δεδομένα συστήματος.
Τι είναι ο έλεγχος διείσδυσης;
Το Penetration Testing, γνωστό και ως pen testing, pentest ή ethical hacking, είναι μια προσομοίωση επίθεσης σε ένα σύστημα υπολογιστή για τον έλεγχο ευπάθειας που μπορεί να γίνει εκμετάλλευση. Στην ασφάλεια εφαρμογών ιστού, η Δοκιμή διείσδυσης χρησιμοποιείται συχνά για την ενίσχυση των τειχών προστασίας εφαρμογών Ιστού (Web Application Firewall - WAF).
Η δοκιμή πένας μπορεί να περιλαμβάνει απόπειρα παραβίασης οποιουδήποτε αριθμού συστημάτων εφαρμογών, (π.χ. Διεπαφές Πρωτοκόλλου Εφαρμογών - API, διακομιστές frontend/backend) για την ανακάλυψη ευπαθειών, τρωτών σημείων, όπως μη επικυρωμένη είσοδο που είναι ευάλωτη σε έγχυση κακόβουλου κώδικα.
Οι πληροφορίες που παρέχονται από τη δοκιμή διείσδυσης μπορούν να χρησιμοποιηθούν για τη βελτίωση των πολιτικών ασφαλείας WAF και την επιδιόρθωση ευπαθειών που εντοπίστηκαν.
Η διαδικασία δοκιμής στυλό μπορεί να χωριστεί σε 5 στάδια.
Στην πρώτη φάση της δοκιμής διείσδυσης και της δοκιμής επιβράβευσης σφαλμάτων, οι ελεγκτές πρέπει να συλλέγουν πληροφορίες σχετικά με το σύστημα-στόχο. Δεδομένου ότι υπάρχουν αρκετές μέθοδοι επίθεσης και δοκιμής, οι ελεγκτές διείσδυσης πρέπει να δώσουν προτεραιότητα βάσει των πληροφοριών που συγκεντρώνονται για να καθορίσουν την καταλληλότερη μέθοδο.
Αυτό το βήμα περιλαμβάνει την εξαγωγή πολύτιμων λεπτομερειών σχετικά με την υποδομή του συστήματος στόχου, όπως ονόματα τομέων, μπλοκ δικτύου, δρομολογητές και διευθύνσεις IP εντός του πεδίου εφαρμογής του. Επιπλέον, κάθε σχετική πληροφορία που θα μπορούσε να ενισχύσει την επιτυχία της επίθεσης, όπως δεδομένα εργαζομένων και αριθμοί τηλεφώνου, πρέπει να συλλέγονται.
Τα δεδομένα που λαμβάνονται από ανοιχτές πηγές κατά τη διάρκεια αυτής της περιόδου μπορούν να δώσουν εκπληκτικά σημαντικές λεπτομέρειες. Για να επιτευχθεί αυτό, οι χάκερ λευκού καπέλου πρέπει να αξιοποιήσουν μια ποικιλία πηγών, με ιδιαίτερη έμφαση στον ιστότοπο του οργανισμού-στόχου και στις πλατφόρμες μέσων κοινωνικής δικτύωσης. Με τη σχολαστική συλλογή αυτών των πληροφοριών, οι δοκιμαστές θα θέσουν τα θεμέλια για μια επιτυχημένη προσπάθεια επιβράβευσης σφαλμάτων.
Ωστόσο, οι περισσότεροι οργανισμοί επιβάλλουν διαφορετικούς κανόνες στους ελεγκτές διείσδυσης κατά τη διαδικασία επιβράβευσης σφαλμάτων. Είναι απαραίτητο από νομική άποψη να μην παρεκκλίνουμε από αυτούς τους κανόνες.
Ένας ελεγκτής διείσδυσης θα εντοπίσει ποιες ενεργές και παθητικές συσκευές είναι ενεργές εντός του εύρους IP, που συνήθως πραγματοποιείται με παθητική συλλογή κατά τη διάρκεια του bug bounty. Με τη βοήθεια των πληροφοριών που λαμβάνονται κατά τη διάρκεια αυτής της διαδικασίας παθητικής συλλογής, ο pentester πρέπει να καθορίσει την πορεία του - πρέπει να ιεραρχήσει και να καθορίσει ακριβώς ποιες δοκιμές είναι απαραίτητες.
Κατά τη διάρκεια αυτής της περιόδου, οι χάκερ δεν μπορούν να αποφύγουν να λάβουν πληροφορίες σχετικά με το λειτουργικό σύστημα, τις ανοιχτές θύρες και τις υπηρεσίες, καθώς και πληροφορίες για την έκδοσή τους σε ζωντανά συστήματα.
Επιπλέον, εάν ο οργανισμός ζητήσει νόμιμα να επιτραπεί στους ελεγκτές διείσδυσης να παρακολουθούν την κυκλοφορία του δικτύου, τότε μπορούν να συλλεχθούν κρίσιμες πληροφορίες σχετικά με την υποδομή του συστήματος, τουλάχιστον όσο το δυνατόν περισσότερο. Ωστόσο, οι περισσότεροι οργανισμοί δεν θέλουν να χορηγήσουν αυτήν την άδεια. Σε μια τέτοια περίπτωση, ο ελεγκτής διείσδυσης δεν πρέπει να υπερβαίνει τους κανόνες.
Σε αυτό το στάδιο, ο ελεγκτής διείσδυσης, αφού καταλάβει πώς θα αντιδράσει η εφαρμογή στόχος σε διάφορες προσπάθειες εισβολής, προσπαθεί να δημιουργήσει συνδέσεις εργασίας με τα συστήματα που εντοπίζει, είναι ενεργό και προσπαθεί να εκπληρώσει άμεσα αιτήματα. Με άλλα λόγια, αυτό είναι το στάδιο όπου ο χάκερ του λευκού καπέλου αλληλεπιδρά με το σύστημα-στόχο χρησιμοποιώντας αποτελεσματικά υπηρεσίες όπως FTP, Netcat και Telnet.
Παρά την αποτυχία σε αυτό το στάδιο, ο κύριος σκοπός εδώ είναι ο έλεγχος των δεδομένων που ελήφθησαν κατά τα βήματα συλλογής πληροφοριών και η λήψη σημειώσεων.
Φάση επίθεσης δοκιμής διείσδυσης
Οι ελεγκτές διείσδυσης συλλέγουν όλα τα δεδομένα που συλλέχθηκαν σε προηγούμενες διεργασίες για έναν στόχο: Προσπαθήστε να αποκτήσετε πρόσβαση στο σύστημα προορισμού με τον ίδιο τρόπο που θα έκανε ένας πραγματικός, κακόβουλος χάκερ. Αυτός είναι ο λόγος που αυτό το βήμα είναι τόσο σημαντικό. Επειδή όταν συμμετέχουν σε προγράμματα επιβράβευσης σφαλμάτων, οι ελεγκτές διείσδυσης θα πρέπει να σκέφτονται σαν πραγματικοί χάκερ.
Σε αυτό το στάδιο, ο ελεγκτής διείσδυσης επιχειρεί να διεισδύσει στο σύστημα, χρησιμοποιώντας το λειτουργικό σύστημα που εκτελείται στο σύστημα προορισμού, ανοιχτές θύρες και υπηρεσίες που εξυπηρετούνται σε αυτές τις θύρες καθώς και πιθανές εκμεταλλεύσεις μπορεί να ισχύουν ανάλογα με την έκδοσή τους. Δεδομένου ότι οι πύλες και οι εφαρμογές που βασίζονται στο διαδίκτυο αποτελούνται από πολύ κώδικα και πολλές βιβλιοθήκες, οι κακόβουλοι χάκερ έχουν μεγαλύτερη εμβέλεια για να επιτεθούν. Από αυτή την άποψη, ένας καλός ελεγκτής διείσδυσης θα πρέπει να εξετάσει όλες τις δυνατότητες και να αναπτύξει όλα τα πιθανά διανύσματα επίθεσης που επιτρέπονται εντός των κανόνων.
Αυτό απαιτεί σοβαρή τεχνογνωσία και εμπειρία για να μπορέσετε να χρησιμοποιήσετε με επιτυχία και ευελιξία τα υπάρχοντα exploits, χωρίς να καταστρέψετε το σύστημα και χωρίς να αφήσετε ίχνη κατά την εξαγορά του συστήματος. Επομένως, αυτή η φάση της δοκιμής διείσδυσης είναι το πιο σημαντικό βήμα.
Η ισχύς ενός συστήματος καθορίζεται από τον πιο αδύναμο κρίκο του. Εάν ένας χάκερ λευκού καπέλου αποκτήσει πρόσβαση σε ένα σύστημα, συνήθως συνδέεται στο σύστημα ως χρήστης χαμηλής εξουσιοδότησης. Σε αυτό το στάδιο, οι ελεγκτές διείσδυσης πρέπει να έχουν δικαιώματα διαχειριστή, να εκμεταλλεύονται ευπάθειες στο λειτουργικό σύστημα ή στο περιβάλλον.
Στη συνέχεια, θα επιδιώξουν να αναλάβουν άλλες συσκευές στο περιβάλλον δικτύου χρησιμοποιώντας τα πρόσθετα προνόμια που έχουν επιτύχει και, τελικά, τα προνόμια χρήστη ανώτατου επιπέδου, όπως ο διαχειριστής τομέα ή η βάση δεδομένων διαχειριστή.
Οι ελεγκτές διείσδυσης αναφέρουν αποτελέσματα κυνηγιού σφαλμάτων και λαμβάνουν ανταμοιβές
Μόλις ολοκληρωθούν τα βήματα δοκιμής διείσδυσης και επιβράβευσης σφαλμάτων, ο ελεγκτής διείσδυσης ή ο κυνηγός σφαλμάτων πρέπει να παρουσιάσει τις ευπάθειες ασφαλείας που ανακάλυψαν στο σύστημα προορισμού, τα επόμενα βήματα και πώς μπορούν να εκμεταλλευτούν αυτά τα τρωτά σημεία για τον οργανισμό με μια λεπτομερή αναφορά. Αυτό θα πρέπει να περιλαμβάνει πληροφορίες όπως στιγμιότυπα οθόνης, δείγμα κώδικα, στάδια επίθεσης και πώς θα μπορούσε να εμφανιστεί αυτή η ευπάθεια.
Η τελική αναφορά πρέπει επίσης να περιλαμβάνει συστάσεις για λύσεις σχετικά με τον τρόπο κλεισίματος κάθε ευπάθειας ασφαλείας. Η ευαισθησία και η ανεξαρτησία των δοκιμών διείσδυσης παραμένουν ένα μυστήριο. Οι χάκερ λευκού καπέλου δεν πρέπει ποτέ να μοιράζονται εμπιστευτικές πληροφορίες που αποκτήθηκαν σε αυτό το στάδιο και δεν πρέπει ποτέ να κάνουν κατάχρηση αυτών των πληροφοριών παρέχοντας ψευδείς πληροφορίες, καθώς αυτό είναι συνήθως παράνομο.
Η δοκιμή εξωτερικής διείσδυσης στοχεύει τα "περιουσιακά στοιχεία" μιας εταιρείας που είναι ορατά στο Διαδίκτυο, όπως η ίδια η εφαρμογή Ιστού, ο ιστότοπος της εταιρείας, το ηλεκτρονικό ταχυδρομείο και οι διακομιστές ονομάτων τομέα (DNS) . Ο στόχος είναι να αποκτήσετε πρόσβαση και να εξαγάγετε πολύτιμα δεδομένα.
Στη δοκιμή διείσδυσης εκ των έσω, ένας ελεγκτής με πρόσβαση σε μια εφαρμογή πίσω από ένα τείχος προστασίας προσομοιώνει μια επίθεση από έναν εσωτερικό έλεγχο. Αυτή η επίθεση όχι μόνο προειδοποιεί για την προοπτική ότι ένας εσωτερικός υπάλληλος θα μπορούσε να είναι χάκερ, αλλά υπενθυμίζει επίσης στους διαχειριστές να αποτρέψουν την κλοπή των στοιχείων σύνδεσής του σε έναν υπάλληλο του οργανισμού, μετά από επίθεση phishing .
Σε μια τυφλή δοκιμή, δίνεται στον ελεγκτή μόνο το όνομα της επιχείρησης που στοχεύει. Αυτό δίνει στο προσωπικό ασφαλείας μια εικόνα σε πραγματικό χρόνο για το πώς θα εξελισσόταν στην πράξη μια επίθεση εφαρμογής.
Σε ένα διπλό τυφλό τεστ, ο αξιωματικός ασφαλείας δεν έχει προηγούμενη γνώση για την προσομοίωση της επίθεσης. Ακριβώς όπως στον πραγματικό κόσμο, δεν είναι πάντα δυνατό να γνωρίζουμε τις επιθέσεις εκ των προτέρων για τη βελτίωση της άμυνας.
Σε αυτό το σενάριο, τόσο ο ελεγκτής όσο και ο υπεύθυνος ασφαλείας θα συνεργάζονται και θα αξιολογούν συνεχώς ο ένας τις ενέργειες του άλλου. Αυτή είναι μια πολύτιμη άσκηση εκπαίδευσης, η οποία παρέχει στην ομάδα ασφαλείας ανατροφοδότηση σε πραγματικό χρόνο από την οπτική γωνία του χάκερ.
Η δοκιμή διείσδυσης και το WAF είναι ανεξάρτητα μέτρα ασφαλείας, αλλά παρέχουν συμπληρωματικά οφέλη.
Για πολλούς τύπους δοκιμών στυλό (εκτός από τυφλή και διπλή τυφλή δοκιμή), οι δοκιμαστές μπορούν να χρησιμοποιήσουν δεδομένα WAF, όπως αρχεία καταγραφής, για να εντοπίσουν και να εκμεταλλευτούν τις αδυναμίες της εφαρμογής.
Με τη σειρά τους, οι διαχειριστές WAF μπορούν να επωφεληθούν από τα δεδομένα δοκιμής στυλό. Μόλις ολοκληρωθεί η δοκιμή, η διαμόρφωση WAF μπορεί να ενημερωθεί για προστασία από αδυναμίες που ανακαλύφθηκαν κατά τη διάρκεια της δοκιμής.
Τέλος, η δοκιμή πένας πληροί ορισμένες απαιτήσεις συμμόρφωσης με τις δοκιμές ασφαλείας, συμπεριλαμβανομένων των PCI DSS και SOC 2. Ορισμένα πρότυπα, όπως το PCI-DSS 6.6, μπορούν να ικανοποιηθούν μόνο με τη χρήση πιστοποιημένου WAF.
Οι χάκερ λευκού καπέλου χρησιμοποιούν δοκιμές με στυλό για να βρουν σφάλματα και τρωτά σημεία
Το ηθικό hacking δεν είναι μια δουλειά που απαιτεί μόνο δεξιότητες. Οι περισσότεροι χάκερ λευκού καπέλου (ηθικοί χάκερ) χρησιμοποιούν εξειδικευμένα λειτουργικά συστήματα και λογισμικό για να διευκολύνουν την εργασία τους, αποφεύγοντας χειροκίνητα λάθη.
Λοιπόν, για ποιο λόγο χρησιμοποιούν αυτοί οι χάκερ τη δοκιμή πένας; Παρακάτω είναι μερικά παραδείγματα.
Το Parrot Security είναι ένα λειτουργικό σύστημα που βασίζεται σε Linux και έχει σχεδιαστεί για δοκιμές διείσδυσης και αξιολόγηση ευπάθειας. Είναι φιλικό στο cloud, εύκολο στη χρήση και υποστηρίζει διάφορα λογισμικά ανοιχτού κώδικα.
Επίσης, ένα λειτουργικό σύστημα Linux, το Live Hacking είναι μια κατάλληλη επιλογή για όσους κάνουν pentest, επειδή είναι ελαφρύ και δεν απαιτεί υψηλό υλικό. Το Live Hacking διατίθεται προσυσκευασμένο με εργαλεία και λογισμικό για δοκιμές διείσδυσης και ηθικό hacking.
Το Nmap είναι ένα εργαλείο νοημοσύνης ανοιχτού κώδικα (OSINT) που παρακολουθεί δίκτυα, συλλέγει και αναλύει δεδομένα σχετικά με κεντρικούς υπολογιστές και διακομιστές συσκευών, καθιστώντας το πολύτιμο για τους χάκερ μαύρου, γκρίζου και λευκού καπέλου.
Το Nmap είναι επίσης cross-platform και λειτουργεί με Linux, Windows και macOS, επομένως είναι ιδανικό για αρχάριους ηθικούς χάκερ.
Το WebShag είναι επίσης ένα εργαλείο OSINT. Αυτό είναι ένα εργαλείο δοκιμής συστήματος που σαρώνει πρωτόκολλα HTTPS και HTTP και συλλέγει σχετικά δεδομένα και πληροφορίες. Χρησιμοποιείται από ηθικούς χάκερ για την εκτέλεση εξωτερικών δοκιμών διείσδυσης μέσω δημόσιων ιστοσελίδων.
Το να δοκιμάζετε το δικό σας δίκτυο με στυλό δεν είναι η καλύτερη επιλογή, καθώς μπορεί να μην έχετε συγκεντρώσει αρκετή εις βάθος γνώση σχετικά με αυτό, δυσκολεύοντάς σας να σκεφτείτε δημιουργικά και να βρείτε κρυμμένα τρωτά σημεία. Θα πρέπει να προσλάβετε έναν ανεξάρτητο χάκερ λευκού καπέλου ή τις υπηρεσίες μιας εταιρείας που παρέχει υπηρεσίες δοκιμών στυλό.
Ωστόσο, η πρόσληψη ξένων ατόμων για εισβολή στο δίκτυό σας μπορεί να είναι πολύ επικίνδυνη, ειδικά εάν τους παρέχετε εμπιστευτικές πληροφορίες ή εσωτερική πρόσβαση. Αυτός είναι ο λόγος για τον οποίο θα πρέπει να χρησιμοποιείτε αξιόπιστους παρόχους τρίτων. Ακολουθούν ορισμένες προτάσεις για την αναφορά σας:
Η HackerOne είναι μια εταιρεία με έδρα το Σαν Φρανσίσκο που παρέχει υπηρεσίες δοκιμών διείσδυσης, αξιολόγησης ευπάθειας και δοκιμών συμμόρφωσης με το πρωτόκολλο.
Βρίσκεται στο Τέξας, η ScienceSoft παρέχει υπηρεσίες αξιολόγησης ευπάθειας, δοκιμών στυλό, συμμόρφωσης και δοκιμών υποδομής.
Με έδρα την Ατλάντα της Τζόρτζια, το Raxis παρέχει πολύτιμες υπηρεσίες από δοκιμές στυλό και αναθεωρήσεις κωδικών ασφαλείας έως εκπαίδευση αντιμετώπισης περιστατικών, εκτιμήσεις ευπάθειας και εκπαίδευση πρόληψης επιθέσεων κοινωνικής μηχανικής .
Το Scareware είναι ένα κακόβουλο πρόγραμμα υπολογιστή που έχει σχεδιαστεί για να ξεγελάσει τους χρήστες ώστε να πιστεύουν ότι είναι μια νόμιμη εφαρμογή και σας ζητά να ξοδέψετε χρήματα σε κάτι που δεν κάνει τίποτα.
Το cFosSpeed είναι λογισμικό που αυξάνει την ταχύτητα σύνδεσης στο Διαδίκτυο, μειώνει τον λανθάνοντα χρόνο μετάδοσης και αυξάνει την ισχύ της σύνδεσης έως και περίπου 3 φορές. Ειδικά για όσους παίζουν διαδικτυακά παιχνίδια, το cFosSpeed θα υποστηρίζει ώστε να μπορείτε να ζήσετε το παιχνίδι χωρίς προβλήματα δικτύου.
Το τείχος προστασίας των Windows με προηγμένη ασφάλεια είναι ένα τείχος προστασίας που εκτελείται στον Windows Server 2012 και είναι ενεργοποιημένο από προεπιλογή. Η διαχείριση των ρυθμίσεων του τείχους προστασίας στον Windows Server 2012 γίνεται στο Τείχος προστασίας των Windows Microsoft Management Console.
Κατά την αλλαγή του κωδικού πρόσβασης της σελίδας διαχείρισης σύνδεσης Vigor Draytek Modem και Router, οι χρήστες θα περιορίσουν τη μη εξουσιοδοτημένη πρόσβαση για την αλλαγή του κωδικού πρόσβασης του μόντεμ, διασφαλίζοντας σημαντικές πληροφορίες δικτύου.
Ευτυχώς, οι χρήστες υπολογιστών με Windows που διαθέτουν επεξεργαστές AMD Ryzen μπορούν να χρησιμοποιήσουν το Ryzen Master για να υπερχρονίσουν εύκολα τη μνήμη RAM χωρίς να αγγίξουν το BIOS.
Η θύρα USB-C έχει γίνει το πρότυπο για μεταφορά δεδομένων, έξοδο βίντεο και φόρτιση σε σύγχρονους φορητούς υπολογιστές με Windows. Αν και αυτό είναι βολικό, μπορεί να είναι απογοητευτικό όταν συνδέετε τον φορητό υπολογιστή σας σε φορτιστή USB-C και δεν φορτίζει.
Το σφάλμα Cannot Create Service στο Ultraviewer παρουσιάζεται όταν εγκαθιστούμε το λογισμικό με κωδικό σφάλματος 1072.
Το σφάλμα της μη εμφάνισης αναγνωριστικού στο Ultraviewer θα επηρεάσει την απομακρυσμένη σύνδεση του υπολογιστή.
Το Ultraviewer ελέγχει τον υπολογιστή από απόσταση και διαθέτει λειτουργία αποστολής και λήψης αρχείων.
Κανονικά, κατά τη διαγραφή ενός αρχείου στα Windows, το αρχείο δεν θα διαγραφεί αμέσως αλλά θα αποθηκευτεί στον Κάδο Ανακύκλωσης. Μετά από αυτό, θα πρέπει να κάνετε ένα ακόμη βήμα: να αδειάσετε τα σκουπίδια. Αλλά αν δεν θέλετε να χρειαστεί να κάνετε αυτό το δεύτερο βήμα, θα σας δείξουμε πώς να διαγράψετε οριστικά ένα αρχείο στο παρακάτω άρθρο.
